Atak DDoS (ang. Distributed Denial of Service) na serwer spowoduje
A. przeciążenie aplikacji serwującej określone dane.
B. przechwytywanie pakietów sieciowych.
C. zbieranie informacji na temat atakowanej sieci.
D. podmianę pakietów przesyłanych przez sieć.
Pytanie z egzaminu CKE, wrzesień 2015 (arkusz E.13-X-15.08).
Atak DDoS polega na tym, że wiele rozproszonych urządzeń, często należących do botnetu, wysyła do serwera albo aplikacji ogromną liczbę żądań lub pakietów. Skutek jest taki, że usługa przestaje normalnie odpowiadać, bo brakuje jej zasobów: pasma, czasu procesora, pamięci, wątków aplikacji albo limitów połączeń. Dlatego poprawna odpowiedź to przeciążenie aplikacji serwującej określone dane. W praktyce może to być np. sklep internetowy, serwer gry, API banku albo zwykła strona WWW, która nagle dostaje setki tysięcy zapytań HTTP na sekundę. Moim zdaniem warto zapamiętać, że w DDoS celem nie jest koniecznie włamanie się do systemu, tylko zabranie dostępności usługi. W bezpieczeństwie mówi się tu o naruszeniu jednego z elementów triady CIA: poufność, integralność, dostępność. DDoS atakuje głównie dostępność. Dobre praktyki obronne to stosowanie filtracji ruchu, rate limiting, CDN, WAF, ochrony anty-DDoS u operatora, monitoringu NetFlow/sFlow, poprawnej konfiguracji firewalli i skalowania infrastruktury. W realnej administracji siecią liczy się szybkie wykrycie anomalii, bo kilka minut przeciążenia potrafi oznaczać duże straty.
W tym pytaniu łatwo pomylić różne rodzaje działań wykonywanych w sieci, bo wszystkie brzmią jak coś związanego z atakiem. Podmiana pakietów przesyłanych przez sieć kojarzy się raczej z atakiem typu man-in-the-middle, spoofingiem, manipulacją ruchem albo wstrzykiwaniem danych do sesji. Tam celem jest zmiana treści komunikacji lub podszycie się pod jedną ze stron, czyli problem dotyczy głównie integralności danych. DDoS działa inaczej. On nie musi modyfikować pakietów, bo jego siłą jest skala i ilość ruchu. Przechwytywanie pakietów sieciowych to z kolei sniffing, podsłuchiwanie transmisji, analiza ramek i pakietów, często przy użyciu narzędzi typu Wireshark lub tcpdump. Takie działanie narusza poufność, ale samo w sobie nie oznacza przeciążania serwera. Zbieranie informacji na temat atakowanej sieci to rozpoznanie, czyli rekonesans. Administrator albo napastnik może sprawdzać adresację, otwarte porty, wersje usług, rekordy DNS czy trasy pakietów. To jest zwykle etap przygotowawczy przed właściwym atakiem, a nie sam efekt DDoS. Typowy błąd myślowy polega na wrzucaniu wszystkich zagrożeń sieciowych do jednego worka. W praktyce trzeba patrzeć na skutek: jeśli usługa staje się niedostępna, bo dostaje za dużo ruchu lub żądań, mówimy o DoS albo DDoS. Przy DDoS źródeł jest wiele, często tysiące urządzeń, więc blokowanie jednego adresu IP zwykle nie wystarcza. Z mojego doświadczenia najprościej zapamiętać to tak: podsłuch kradnie informacje, podmiana zmienia komunikację, rekonesans zbiera dane, a DDoS zatyka usługę ruchem.